보안 취약점 없이 사용자 접근 권한을 설정하는 방법

접근 설정은 직원이 재무, 고객, 재고 또는 직원 정보에 대한 불필요한 변경을 허용하지 않으면서 업무를 수행할 수 있도록 지원해야 합니다. 부실하게 계획된 접근 권한은 실수로 인한 편집, 승인되지 않은 거래 및 불분명한 책임 소재를 초래할 수 있습니다. 역할 기반 접근 방식은 비즈니스가 성장함에 따라 검토하기 쉬운 일관된 규칙을 만듭니다.

책임부터 시작하십시오

• 1. 판매 문서 생성, 상품 입고, 지급 기록, 구매 승인 또는 직원 세부 정보 업데이트 등 각 직책이 수행하는 활동을 나열하십시오. 동일한 직책을 가진 두 사람이 서로 다른 접근 권한을 필요로 할 수 있으므로 직책보다는 실제 책임에 초점을 맞추십시오.

• 2. 일상 업무와 민감한 결정을 분리하십시오. 한 사람이 구매 요청을 준비해야 하지만 승인할 필요는 없거나, 공급업체 인보이스를 입력해야 하지만 지급을 실행할 필요는 없거나, 고객 수금을 기록해야 하지만 전기 후 인보이스를 변경할 필요는 없을 수 있습니다. 이러한 분리는 실수와 의도적인 오용을 모두 줄입니다.

• 3. 공유된 책임에 따라 직원을 실용적인 접근 역할로 그룹화하십시오. 역할 수를 관리 가능한 수준으로 유지하십시오. 너무 많은 개별 예외는 혼란을 초래하는 반면, 하나의 광범위한 역할은 직원이 필요로 하지 않는 정보를 노출할 수 있습니다.

• 4. 각 역할에 정규 업무를 완료하는 데 필요한 최소한의 접근 권한을 부여하십시오. 편리하다는 이유만으로 광범위한 관리자 접근 권한을 부여하지 마십시오. 한 사람이 때때로 추가 접근 권한을 필요로 하는 경우, 더 넓은 권한을 영구적으로 부여하는 대신 문서화된 임시 승인을 사용하십시오.

• 5. 독립적인 검토를 통해 고위험 활동을 보호하십시오. 은행 세부 정보, 공급업체 기록, 가격, 세무 처리, 지급 지시 및 전기된 재무 거래에 대한 변경은 일반적인 데이터 입력보다 더 강력한 통제를 필요로 합니다. 변경을 준비한 사람이 유일한 승인자가 되어서는 안 됩니다.

• 6. 직원에게 역할을 할당하기 전에 현실적인 예시로 모든 역할을 테스트하십시오. 직원이 필수 업무를 완료할 수 있고, 관련 없는 정보에 접근할 수 없으며, 필수 승인을 우회할 수 없음을 확인하십시오. 정정 및 취소를 포함하여 정상적인 경우와 비정상적인 경우를 모두 테스트하십시오.

명확한 소유권을 사용하십시오

접근 결정을 소유할 관리자 한 명과 긴급 변경을 위한 백업 한 명을 지정하십시오. 접근 권한이 추가되거나 확장되기 전에 관련 부서 관리자의 서면 승인을 요구하십시오. 직원, 역할, 승인 날짜, 사유 및 예상 검토 날짜에 대한 간단한 기록을 유지하십시오. 이는 복잡한 관리를 요구하지 않으면서 책임 소재를 명확히 합니다.

임시 근로자, 컨설턴트 및 인턴에 대한 접근 권한에는 종료 날짜가 있어야 합니다. 나중에 누군가가 접근 권한을 제거하는 것을 기억하리라고 의존하지 마십시오. 계약자는 할당된 업무에 필요한 정보만 받아야 하며, 활동을 귀속시키기 어렵게 만들기 때문에 공유 계정은 피해야 합니다.

접근 권한을 정기적으로 검토하십시오

• 7. 누군가 입사하거나, 직위가 변경되거나, 장기 휴가를 떠나거나, 회사를 떠날 때 권한을 검토하십시오. 책임이 변경될 때는 새 접근 권한을 추가하기 전에 이전 접근 권한을 제거하십시오. 퇴사자의 경우 최종 근무 시간에 맞춰 제거를 조정하고 회사 데이터가 보호된 상태로 유지되는지 확인하십시오.

• 8. 최소 분기별로, 재무 및 관리 접근 권한의 경우 더 자주 공식 검토를 실시하십시오. 각 관리자에게 모든 사람이 여전히 할당된 접근 권한을 필요로 하는지, 그리고 업무가 변경되었는지 문의하십시오. 결정을 기록하고 더 이상 명확한 비즈니스 사유가 없는 권한을 조사하십시오.

• 9. 가능한 경우 비정상적인 접근 활동 및 로그인 실패 시도를 검토하십시오. 제한된 정보에 접근하려는 반복적인 시도, 정상 근무 시간 외의 예상치 못한 변경 또는 익숙하지 않은 위치에서의 활동은 교육 문제 또는 보안 우려를 나타낼 수 있습니다.

• 10. 조직 개편, 새로운 책임, 인수 또는 내부 통제 변경 후 접근 계획을 업데이트하십시오. 접근 권한을 일회성 설정 작업이 아닌 프로세스 설계의 일부로 취급하십시오.

직원이 자격 증명을 보호하고, 감독되지 않는 기기를 잠그고, 의심되는 오용을 신속하게 보고하도록 교육하십시오. 관리자는 접근 권한 승인이 단순한 관리 업무가 아닌 책임 결정임을 이해해야 합니다. 짧고 문서화된 검토 프로세스는 일반적으로 아무도 따르지 않는 복잡한 규칙보다 더 나은 보호를 제공합니다.